International

🔍 Contexte Publié le 28 octobre 2026 par Mukul Goyal (Parameter Labs), cet article de recherche détaille une vulnérabilité critique (P1) découverte en octobre 2026 dans ChatGPT (chatgpt.com), permettant la prise de contrôle de comptes via une chaîne d’exploitation multi-composants. OpenAI a corrigé le problème le 26 octobre 2026. ⚙️ Mécanisme d’exploitation La chaîne repose sur la combinaison de plusieurs fonctionnalités légitimes de ChatGPT : Graphique interactif : charge la bibliothèque MathLive, qui installe un listener postMessage dans la page principale chatgpt.com. HTML Preview (iframe sandboxé sur un domaine différent) : envoie deux messages postMessage de type mathlive#virtual-keyboard-message au listener MathLive. Absence de vérification d’origine : MathLive accepte ces messages sans valider event.origin ni event.source (politique none). Injection HTML : le message update-setting injecte du HTML arbitraire via innerHTML dans la page principale, via createHTML qui agit comme un wrapper Trusted Types sans sanitisation. Contournement du sandbox : un <iframe srcdoc> sans attribut sandbox est créé dans la page principale, héritant de l’identité https://chatgpt.com. Contournement de la CSP : la CSP de ChatGPT autorisait les scripts depuis www.youtube.com. L’endpoint YouTube oEmbed JSONP (/oembed?callback=) permettait d’injecter du JavaScript arbitraire via le paramètre callback, retourné avec Content-Type: text/javascript. 💥 Impact confirmé Exécution de JavaScript arbitraire dans la session authentifiée de la victime sur chatgpt.com Énumération des conversations privées via GET /backend-api/conversations Lecture du contenu de conversations privées via GET /backend-api/conversations/<id> Exfiltration de données vers un serveur contrôlé par l’attaquant via une requête image Accès complet aux APIs authentifiées de ChatGPT au nom de la victime La victime n’avait qu’à ouvrir le lien partagé (aucune installation, aucun clic supplémentaire requis dans la version automatique) 📅 Timeline 13 oct. 2026 : Confirmation du chemin MathLive → HTML en production 14 oct. : Reproduction complète, exécution JavaScript arbitraire 16 oct. : Confirmation de la livraison via lien de partage public entre comptes séparés 17 oct. : Confirmation du Preview automatique à l’ouverture du lien 18 oct. : Soumission au bug bounty OpenAI 19 oct. : Ajout de la preuve d’exfiltration de conversation privée 21 oct. : OpenAI reproduit le bug, sévérité élevée de P2 à P1 26 oct. : Correction déployée sur les deux frontends web, bounty de 5 000 USD accordé 📄 Nature de l’article Il s’agit d’une publication de recherche technique (post-mortem / write-up de bug bounty) dont le but est de documenter en détail la chaîne d’exploitation, les décisions de conception fautives et la remédiation appliquée par OpenAI. ...

🔍 Contexte Publié le 4 novembre 2026 par Jon DiMaggio (Flare Research), cet article constitue la deuxième partie d’une série en deux volets sur les conséquences des arrestations de membres de ShinyHunters en septembre 2026. L’analyse repose sur des données collectées via la plateforme Flare (Telegram, forums, leak sites, serveurs). 🚔 Les arrestations 15 septembre 2026 : arrestation d’un individu de 24 ans par la police néerlandaise pour « participation » 29 septembre 2026 : détention de Rey (Saif al-Din Khader) en Jordanie, signalé comme coopérant avec le FBI 8-9 octobre 2026 : arrestation d’Edward Dubrovsky, ancien cadre de la firme de négociation ransomware CYPFER, pour complot et extorsion dans le district Est du Texas ⚔️ La bataille pour le nom Après les arrestations, trois factions ont revendiqué le nom ShinyHunters : ...

📰 Source : BleepingComputer — Date : 4 novembre 2026 SonicWall a publié un avis de sécurité concernant deux vulnérabilités découvertes dans son logiciel Global Management System (GMS), un outil permettant aux administrateurs IT de gérer des milliers d’appliances SonicWall depuis une interface centralisée. Ces failles ont été identifiées et signalées par les chercheurs de Pentest-Tools. 🔍 Vulnérabilités identifiées : CVE-2026-109593 : Lecture de fichiers internes par un attaquant non authentifié disposant d’un accès réseau, permettant le vol d’informations sensibles. Affecte GMS 9.5.2 et versions antérieures. CVE-2026-109594 : Injection SQL de faible complexité exploitable par un acteur disposant de privilèges élevés, permettant l’accès ou la modification des données stockées dans la base de données GMS. ⚠️ Absence de correctif : SonicWall a confirmé qu’aucun patch ne sera publié, le produit ayant atteint sa fin de vie (EOL). L’éditeur recommande une migration vers Network Security Manager (NSM). ...

📰 Source : SecurityAffairs, publié le 3 novembre 2026. Cet article rapporte une campagne de spyware mercenaire ayant ciblé des membres du Parlement allemand (Bundestag) et d’autres personnalités publiques, révélée via les notifications de menace d’Apple. 🗓️ Chronologie : 29 octobre 2026 : Apple commence à envoyer des notifications de menace sur les iPhones de cibles en Allemagne et dans 99 pays. 30 octobre 2026 : Le BSI (Bundesamt für Sicherheit in der Informationstechnik) envoie une lettre d’alerte aux membres du Bundestag concernés. 2 novembre 2026 : Le ministre du numérique Karsten Wildberger confirme publiquement les alertes sur ARD. 🎯 Cibles identifiées : ...

🗓️ Contexte Analyse publiée le 2 novembre 2026 par Check Point Exposure Management (auteur : Uriel Sigal), portant sur l’émergence et la montée en puissance rapide du groupe Storm Ransomware, apparu en août 2026. 🎯 Présentation du groupe Storm s’est lancé comme une opération Ransomware as a Service (RaaS) structurée dès son apparition publique. Avant même sa première victime publiée, le courtier en accès initial connu sous le nom de BigBro avait fait la promotion de l’opération sur un forum darknet. Storm a ensuite publié son propre post de recrutement épinglé. ...

🎯 Contexte Source : BleepingComputer, publié le 4 novembre 2026. L’éditeur Level Infinite a confirmé une attaque de supply chain ciblant le launcher PC du jeu Goddess of Victory: NIKKE, un RPG sci-fi développé par la société sud-coréenne Shift Up, comptant plus de 45 millions de téléchargements depuis 2022. 🔍 Déroulement de l’attaque Selon l’analyse du chercheur indépendant MotherSphere (publiée sur GitHub), quatre fichiers JavaScript hébergés sur le CDN officiel de Level Infinite ont été modifiés le 27 septembre 2026. Ces fichiers contenaient du code malveillant obfusqué qui téléchargeait des charges utiles supplémentaires depuis des serveurs contrôlés par les attaquants : ...

🌐 Contexte Rapport de threat intelligence publié le 19 octobre 2026 par Silent Push, basé sur des recherches menées entre janvier et septembre 2026. Il documente un schéma actif de travailleurs IT nord-coréens infiltrant des institutions financières via des proxies humains recrutés sur Discord. 🎯 Schéma opérationnel Un acteur identifié sous le pseudonyme “Tec Guru” (compte Discord tecguru113, Telegram @tecguru0618) recrute des citoyens américains, européens et latino-américains pour agir comme proxies dans des candidatures à des emplois à distance. Le proxy conserve 35% du salaire et transfère les 65% restants au travailleur nord-coréen via cryptomonnaies, virements bancaires ou processeurs de paiement tiers. ...

🔍 Contexte Publié le 4 novembre 2026 par Unit 42 (Palo Alto Networks), ce rapport technique documente trois campagnes de phishing distinctes ayant généré 1 740 détections entre mai et octobre 2026. Les auteurs sont Shawn He Shuang et Keerthiraj Nagaraj. 🎯 Technique commune : contournement de l’analyse DOM Les trois campagnes partagent une caractéristique clé : elles éliminent tout texte de leurre du DOM HTML pour échapper aux moteurs d’analyse basés sur le contenu textuel. Les leurres sont délivrés via : ...

🌐 Contexte Source : PBS NewsHour, publiée le 2 novembre 2026. Le président ukrainien Volodymyr Zelenskyy a accordé une interview à Amna Nawaz de PBS News dans laquelle il confirme officiellement une opération cyber de représailles menée par l’Ukraine contre la Russie. ⚔️ Incident initial : attaque russe contre l’Ukraine Des utilisateurs ukrainiens ont reçu de fausses alertes de menace nucléaire imminente via l’application mobile d’alerte d’urgence ukrainienne. Le système a été temporairement suspendu avant d’être remis en service. Zelenskyy qualifie explicitement cet événement de cyberattaque russe ciblant des civils. ...

📰 Source : The Record (Recorded Future News) — Date de publication : 4 novembre 2026 Contexte Six compagnies aériennes asiatiques ont signalé des violations de données consécutives à une attaque ciblant Amadeus IT Group, fournisseur IT espagnol spécialisé dans les plateformes de réservation, billetterie et enregistrement pour l’industrie aérienne. Amadeus réalise plus de 6,5 milliards de dollars de chiffre d’affaires annuel et fournit ses services à des centaines de compagnies aériennes et aéroports. ...